O'Reilija, Atvērtā tālruņa alianse
CVE-2018-9442, kas plašsaziņas līdzekļos ir pazīstams kā RAMpage, varētu būt problēma ar visām Android ierīcēm, kas izlaistas kopš 2012. gada. Ievainojamība ir nedaudz Rowhammer problēmas variants, kurā tiek izmantota aparatūras kļūda, kas atrodama mūsdienu atmiņas kartēs. Acīmredzot tas ir saistīts ar pusvadītāju bāzes gaistošās ierakstīšanas tehnoloģijas darbību.
Pētnieki pirms dažiem gadiem veica testus, kā atkārtoti lasīšanas / rakstīšanas cikli ietekmē atmiņas šūnas. Kad pieprasījumi atkal un atkal tika nosūtīti tai pašai šūnu rindai, darbības radīja elektrisko lauku. Šis lauks teorētiski varētu mainīt datus, kas tiek glabāti citās RAM jomās.
Šīs tā sauktās Rowhammer izmaiņas var radīt problēmas gan personālajos datoros, gan Android ierīcēs. Radoša to izmantošana varētu ļaut izpildīt patvaļīgu kodu.
Proti, RAMpage ievainojamība hipotētiski varētu atļaut Rowhammer tipa uzbrukumus, izmantojot tīkla paketes un JavaScript kodu. Dažas mobilās ierīces nevarētu pareizi apstrādāt šos uzbrukumus, un tie noteikti nav tik nopietni kā tie, kas izmanto GPU kartes galddatoros. Neskatoties uz to, problēmas ar RAM moduļiem, kas piegādāti kopš 2012. gada, ir pietiekami daudz, lai pētnieki ātri strādātu pie tā mazināšanas.
Kaut arī Cupertino inženieri tajā laikā, visticamāk, nezināja par šo pētījumu, fundamentālas atšķirības Apple ierīču projektēšanas veidā nozīmē, ka tālruņi, kuros darbojas iOS, var nebūt tik neaizsargāti kā Android. Jauna lietotne apgalvo, ka tā var pārbaudīt, vai jūsu ierīce ir pakļauta šīm ievainojamībām, un tuvāko nedēļu laikā tā var kļūt par populāru lejupielādi.
Daži Unix drošības eksperti ir izteikuši bažas par šo lietotņu pašreizējo stāvokli. Lai gan pašreizējais šķiet labi izstrādāts rīks, pastāv risks, ka nākotnē tas varētu nebūt.
Uzbrucēji varēja ievietot nākotnes lietotnes tīru atvērtā pirmkoda versiju kopā ar binārām lietojumprogrammām, kuras izmantoja. Tas var likt cilvēkiem, kuri domā par drošību, izmantot ļaunprātīgu izmantošanu.
Pašreizējais rīks ir pieejams oficiālajos krātuvēs, un tā izstrādātāji mudina lietotājus instalēt tikai tādus rīkus, kādi tie kļūst pieejami no šiem kanāliem. Ir maz ticams, ka kaut kas no viņiem izrietošais kļūs par upuri šim konkrētajam sociālās inženierijas veidam.
Tagi Android drošība
